如何在AWS EC2上配置Docker IPv6？容器内ping6失败排查

我之前在AWS EC2环境配置Docker IPv6时，碰到过和你完全一样的情况：宿主机ping6 google.com毫无问题，但容器里就是不通，IPv4却全程正常。折腾了好一阵才理清问题，给你分享几个关键排查点和解决方法：

1. 确认Docker守护进程的IPv6配置生效 #

首先得确保Docker的IPv6配置真的被加载了，很多时候改了配置没重启服务等于白做：

• 检查/etc/docker/daemon.json文件，确保包含以下核心配置：

  {
    "ipv6": true,
    "fixed-cidr-v6": "fd00:dead:beef::/48"
  }
  

• 重启Docker服务：sudo systemctl restart docker
• 验证配置：执行docker info，看输出里是否有IPv6: Enabled的标识，有则说明守护进程层面配置没问题。

2. 检查EC2实例的IPv6网络规则 #

AWS的IPv6网络有子网级别的限制，宿主机能通不代表容器流量能出去：

• 确认EC2实例的安全组已放行IPv6出站流量：要单独添加IPv6的规则（比如ICMPv6、TCP/UDP常用端口），不能只配置IPv4规则。
• 检查网络ACL：子网级别的网络ACL要同时允许IPv6的入站和出站流量，这一步很容易被忽略。
• 查看宿主机IPv6路由表：执行ip -6 route，确认存在指向AWS IPv6网关的默认路由，且Docker的IPv6子网（比如上面的fd00:dead:beef::/48）有正确的路由规则。

3. 开启宿主机的IPv6转发功能 #

Docker默认可能没开启IPv6转发，这会直接阻断容器的IPv6出站流量：

• 临时开启转发：

  sudo sysctl -w net.ipv6.conf.all.forwarding=1
  sudo sysctl -w net.ipv6.conf.default.forwarding=1
  

• 永久生效：把以下内容添加到/etc/sysctl.conf文件中，确保重启后依然有效：

  net.ipv6.conf.all.forwarding=1
  net.ipv6.conf.default.forwarding=1
  

• 验证：执行sysctl net.ipv6.conf.all.forwarding，输出值应为1。

4. 排查容器内部的IPv6配置细节 #

进入容器内部，确认网络基础配置是否正常：

• 进入容器：docker exec -it <容器ID> /bin/bash
• 查看IPv6地址：ip -6 addr，确认分配的地址属于Docker配置的IPv6子网（比如fd00:dead:beef::/48范围内）。
• 检查路由：ip -6 route，确认默认路由指向Docker网桥的IPv6地址（比如fd00:dead:beef::1）。
• 测试内部连通：ping6 fd00:dead:beef::1，如果能通则容器到网桥的链路没问题；不通的话，可能是Docker网桥的IPv6配置出错。

5. 验证容器内的IPv6 DNS解析 #

有时候不是连通性问题，而是DNS解析失败导致无法访问域名：

• 在容器内执行nslookup google.com -type=AAAA，看能否获取到IPv6地址。如果解析失败，需要给Docker配置IPv6 DNS服务器。
• 修改daemon.json添加DNS配置，比如使用Google的IPv6 DNS：

  {
    "ipv6": true,
    "fixed-cidr-v6": "fd00:dead:beef::/48",
    "dns": ["2001:4860:4860::8888", "2001:4860:4860::8844"]
  }
  

  配置后重启Docker再测试。

6. 确认EC2实例的IPv6地址分配 #

确保EC2实例已经拿到公网IPv6地址：

• 宿主机执行ip -6 addr，查看是否有inet6开头的公网地址（通常是2600开头的AWS IPv6地址）。
• 如果只有链路本地地址（fe80开头），那容器肯定无法访问公网IPv6，需要给实例分配公网IPv6地址。

我当时就是因为安全组没配置IPv6出站规则，加上Docker IPv6转发没开启，才导致容器连不上。按照上面的步骤一步步排查，应该能解决你的问题。

内容的提问来源于stack exchange，提问作者kavin nath